safari浏览器formdata未识别类型_【原创漏洞】WebAssembly高危漏洞影响Edge和Safari浏览器...

更多资讯和分析文章请关注启明星辰ADLab微信公众号及官方网站(adlab.venustech.com.cn)

漏洞概述

2018年10月，启明星辰ADLab发现浏览器WebAssembly模块存在高危漏洞，并第一时间通报苹果和微软官方进行修复。该漏洞位于对应浏览器JavaScript引擎(JavaScriptCore/ChakraCore)与WebAssembly模块的接口，可同时影响Edge、Safari浏览器。

2019年3月25日，苹果发布了针对该漏洞的安全补丁(CVE-2019-6201)；微软的对应漏洞补丁已于2019年2月12日发布。提醒广大用户尽快将浏览器升级到最新版本。

漏洞影响范围

• Microsoft Windows 10操作系统的Edge浏览器

• Apple iOS/macOS操作系统的Safari浏览器

• 其他平台上基于WebKit的组件和产品

漏洞简析

攻击者可通过精心构造的html网页，使用户在使用浏览器访问网页时触发漏洞。该漏洞在浏览器漏洞利用中可以直接作为fakeobj原语。通常addrof与fakeobj原语结合可以直接获得任意代码执行的能力，在一些特殊情况下，单独使用fakeobj原语也可以完成漏洞利用。

该漏洞的简要分析如下(以Safari/WebKit CVE-2019-6201为例)